Непонятный исходящий трафик от svchost.exe

Стал наблюдаться непонятный исходящий трафик от svchost.exe на
сайт kukuruza.org (190.183.60.83), порт постоянно меняется.
Это выявлено Outpost Firewall.

Также появились события в журнале системы вида:

Тип события: Ошибка
Источник события: DCOM
Категория события: Отсутствует
Код события: 10016
Дата: 09.07.2008
Время: 18:51:03
Пользователь: NT AUTHORITY\NETWORK SERVICE
Компьютер: ANDHOME
Описание:
Настройки разрешений зависящие от конкретного приложения не предоставляют разрешение Локально Активация для приложения сервера COM Server с CLSID
{BA126AD1-2166-11D1-B1D0-00805FC1270E}
пользователю NT AUTHORITY\NETWORK SERVICE SID (S-1-5-20). Это разрешение можно изменить с помощью средства администрирования Component Services.
Дополнительные сведения можно найти в центре справки и поддержки, в "[URL]http://go.microsoft.com/fwlink/events.asp[/URL]".

Это ошибка про netman. Безопасность исправлять не стал.

CureIT и Nod32 с новыми базами ничего не находят.
Как отключить этот исходящий трафик.

А на самом серваке стоит Симантек антивирус. Его то хоть перед проверкой Нодом заглушили?

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\System32\Drivers\Xdj38.sys','');
QuarantineFile('D:\WINDOWS\system32\drivers\mmwsugtkzir.sys','');
DeleteFile('D:\WINDOWS\System32\Drivers\Xdj38.sys');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Xdj38');
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Зайдите пожалуйста в AVZ - Сервис - Модули пространства ядра и снимите дамп (там есть нужная кнопка) с модулей со следующими именами:
"_"
".sys"
Дампы будут сохранены в папке DMP, которая будет в папке AVZ.
Дампы заархивируйте в архив с паролем virus и пришлите вместе с карантином (о карантине см. приложение №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url]) (загружать здесь: [url]http://virusinfo.info/upload_virus.php?tid=26183[/url] ).

Очистите временные папки и кеш браузера.
Сделайте новые логи.

[quote=PavelA;253247]А на самом серваке стоит Симантек антивирус. Его то хоть перед проверкой Нодом заглушили?[/quote]

Симантек антивируса на серваке нет. Только Ghost.
Если что-то осталось, то только после деинсталяции.

[quote=kps;253248][URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('D:\WINDOWS\System32\Drivers\Xdj38.sys','');
QuarantineFile('D:\WINDOWS\system32\drivers\mmwsugtkzir.sys','');
DeleteFile('D:\WINDOWS\System32\Drivers\Xdj38.sys');
BC_ImportALL;
ExecuteSysClean;
BC_DeleteSvc('Xdj38');
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.

Зайдите пожалуйста в AVZ - Сервис - Модули пространства ядра и снимите дамп (там есть нужная кнопка) с модулей со следующими именами:
"_"
".sys"
Дампы будут сохранены в папке DMP, которая будет в папке AVZ.
Дампы заархивируйте в архив с паролем virus и пришлите вместе с карантином (о карантине см. приложение №3 [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL]) (загружать здесь: [URL]http://virusinfo.info/upload_virus.php?tid=26183[/URL] ).

Очистите временные папки и кеш браузера.
Сделайте новые логи.[/quote]

Готово. Дамп отослал. Логи здесь.

Дамп получил. Нужен еще карантин после скрипта (см. приложение №3 [url=http://virusinfo.info/showthread.php?t=1235]правил[/url]). Загружать его надо туда же.

[quote=kps;253303]Дамп получил. Нужен еще карантин после скрипта (см. приложение №3 [URL="http://virusinfo.info/showthread.php?t=1235"]правил[/URL]). Загружать его надо туда же.[/quote]

Готово. Отправил.

[url=http://virusinfo.info/showthread.php?t=7239]Выполните скрипт в AVZ[/url]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('D:\WINDOWS\system32\drivers\mmwsugtkzir.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('txzrxrbwouhg');
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.
Сделайте новый лог по пункту 8 правил.

[quote=kps;253311][URL="http://virusinfo.info/showthread.php?t=7239"]Выполните скрипт в AVZ[/URL]:
[code]begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
DeleteFile('D:\WINDOWS\system32\drivers\mmwsugtkzir.sys');
BC_ImportDeletedList;
ExecuteSysClean;
BC_DeleteSvc('txzrxrbwouhg');
BC_Activate;
RebootWindows(true);
end.[/code]

Компьютер перезагрузится.
Сделайте новый лог по пункту 8 правил.[/quote]

Готово.

В сервисах посмотри: от Симантека болтается 6 служб. Некоторые точно от антивируса. Их лучше убрать, или просто заглушить.

[quote=PavelA;253344]В сервисах посмотри: от Симантека болтается 6 служб. Некоторые точно от антивируса. Их лучше убрать, или просто заглушить.[/quote]

Убрал весь Симантек и почистил реестр.
А Ghost потом снова поставлю.

Больше в логах подозрительного не вижу. Какие-то проблемы остались?

[quote=kps;253398]Больше в логах подозрительного не вижу. Какие-то проблемы остались?[/quote]

Ночь прошла спокойно. Наблюдаю дальше.
Непонятный трафик прекратился. Ошибка DCOM осталась.
Как убрать ее я знаю, но связана она с трояном или нет.
Как определить ?

Статистика проведенного лечения:
[LIST][*]Получено карантинов: [B]2[/B][*]Обработано файлов: [B]9[/B][*]В ходе лечения вредоносные программы в карантинах не обнаружены[/LIST]